Les fonds sont restitués à DeFi Exchange Nirvana dans le cadre de la première poursuite pour piratage de DeFi

Selon TRM Labsaujourd'hui, environ 2,6 millions de dollars en crypto-monnaie ont été restitués à la bourse d'échange décentralisée Nirvana. Nirvana a été victime d'un piratage en juillet 2022 qui a donné lieu à la première poursuite et condamnation pour un piratage DeFi . TRM Labs est fier d'avoir soutenu les forces de l'ordre tout au long de l'enquête et la victime lors de la réponse à l'incident.

L'équipe Global Investigations de TRM a reçu une alerte dans TRM Detect indiquant que les fonds volés - dans le stablecoin DAI - sont retournés au protocole DeFi exploité.

Selon les documents judiciaires, en juillet 2022, Shakeeb Ahmed, ingénieur en sécurité de formation, a mené une attaque sur un échange de crypto-monnaies non identifié en exploitant une vulnérabilité dans l'un des contrats intelligents de l'échange.

En outre, Ahmed, qui a plaidé coupable à la fin de l'année dernière, a attaqué le protocole DeFi Nirvana. Nirvana achetait et vendait son jeton de crypto-monnaie, ANA, et était conçu de telle sorte que lorsqu'un utilisateur achetait une quantité substantielle d'ANA, le prix de l'ANA augmentait, et lorsqu'un utilisateur vendait une quantité substantielle d'ANA, le prix de l'ANA diminuait.

Le 28 juillet 2022, quelques semaines après le piratage du Crypto Exchange, Ahmed a réalisé l'exploit Nirvana dans lequel il a contracté un prêt flash d'environ 10 millions USD, utilisé ces fonds pour acheter de l'ANA à Nirvana, et utilisé un exploit qu'il a découvert dans les contrats intelligents de Nirvana pour acheter l'ANA à son prix initial, bas, plutôt qu'au prix plus élevé que Nirvana était censé lui facturer compte tenu de l'importance de son achat. Lorsque le prix de l'ANA a été mis à jour pour refléter son achat important, Ahmed a revendu l'ANA qu'il avait acheté à Nirvana au nouveau prix plus élevé, ce qui lui a permis de réaliser un bénéfice d'environ 3,6 millions USD.  

Nirvana a offert à Ahmed une prime de 600 000 USD pour la restitution des fonds volés, mais Ahmed a demandé 1,4 million USD, n'a pas trouvé d'accord avec Nirvana et a gardé tous les fonds volés. Les 3,6 millions de dollars volés par Ahmed représentaient à peu près la totalité des fonds détenus par Nirvana, qui a donc fermé ses portes peu de temps après l'attaque d'Ahmed.

Ahmed a blanchi les millions qu'il a volés à la Crypto Exchange et à Nirvana en utilisant diverses techniques d'obscurcissement de la chaîne, notamment l'utilisation de mélangeurs, d'échanges entre chaînes et de la monnaie privée Monero.

Ci-dessous, nous discuterons de l'exploit sur le Crypto Exchange, de la réponse à l'incident et de l'enquête utilisant l'blockchain intelligence de TRM.

L'Exploit‍

Selon l'acte d'accusation, au moment de l'attaque, le défendeur "était un ingénieur principal en sécurité pour une entreprise technologique internationale dont le CV reflétait des compétences dans, entre autres, l'ingénierie inverse des contrats intelligents et des audits de la blockchain, qui sont certaines des compétences spécialisées qu'Ahmed a utilisées pour exécuter l'attaque." Le Crypto Exchange, toujours selon l'acte d'accusation, est un "teneur de marché automatisé" qui s'appuie sur des contrats intelligents pour permettre à ses clients d'échanger des actifs sur la blockchain Solana. Plus précisément, le Crypto Exchange a créé un marché pour les échanges en regroupant les liquidités de ses clients (par exemple, le client dépose 100 USD sur l'échange au prix du marché, l'échange paie au client des frais pour la mise à disposition des liquidités).

Le 2 juillet 2022, la Crypto Exchange a notifié au public qu'elle subissait une attaque et qu'elle prendrait rapidement des mesures correctives pour protéger les fonds des clients. Cette attaque aurait été menée par le défendeur qui a exploité le smart contract associé à la bourse en fournissant de fausses données pour faire croire qu'il avait fourni un grand volume de liquidités à la bourse, ce qu'il n'avait pas fait en réalité. En conséquence, le défendeur a frauduleusement reçu des frais substantiels de la part de la bourse. 

En outre, après avoir compris comment exploiter le smart contract de la bourse, le défendeur aurait utilisé des fonds provenant de "prêts éclair" pour effectuer une série de dépôts sur la bourse, générant ainsi des frais frauduleux supplémentaires. Le défendeur a ensuite créé un autre compte frauduleux sur la bourse et a manipulé davantage le smart contract afin de pouvoir retirer rapidement les fonds principaux de la bourse.

Ahmed est soupçonné d'avoir obtenu frauduleusement, au total, plus de 9 millions de dollars de crypto-monnaie de la Bourse en manipulant le smart contract En utilisant TRM Labs Graph Visualizervous pouvez voir l'exploit provenant de l'adresse de l'exploiteur, traversant les blockchains de Solana à Ethereum, et se déplaçant vers les adresses ETH suivantes.

Après l'exploit, le défendeur avait besoin d'obscurcir le flux des fonds obtenus frauduleusement, il a donc commencé à utiliser des techniques de blanchiment d'argent sophistiquées pour cacher la destination des fonds. Le défendeur semble avoir échangé des fonds entre blockchains à plusieurs reprises, utilisé des "mélangeurs" de crypto-monnaies et déplacé des fonds dans des crypto-monnaies à confidentialité renforcée afin de dissimuler le flux de fonds.‍

La réponse‍

Après le piratage, la Bourse a collaboré avec l'équipe de réponse aux incidents de TRM et les enquêteurs du HSI et de l'IRS pour suivre et tracer les flux de fonds avant et après l'exploit.

Au cours de l'enquête et de la réponse à l'incident, le défendeur a restitué tous les fonds, à l'exception de 1,5 million USD de crypto-monnaie, qu'il prétendait recevoir pour avoir mis en évidence la vulnérabilité du protocole de smart contract

Selon l'acte d'accusation, les enquêteurs ont utilisé ces données sur la chaîne avec une enquête hors chaîne pour finalement identifier et arrêter le défendeur. Cette enquête hors chaîne a révélé qu'après l'attentat, l'accusé a recherché en ligne des informations sur l'attentat, sur sa propre responsabilité pénale, sur les avocats de la défense spécialisés dans les affaires similaires, sur la capacité des forces de l'ordre à enquêter avec succès sur l'attentat et sur la fuite des États-Unis pour éviter les poursuites pénales.  

Par exemple, selon l'acte d'accusation, deux jours après l'attaque, l'accusé a effectué une recherche sur Internet pour le terme "defi hack", a lu plusieurs articles de presse sur le piratage du Crypto Exchange, et a effectué des recherches sur Internet ou a visité des sites Web liés à sa capacité à fuir les États-Unis, à éviter l'extradition et à conserver sa crypto-monnaie volée : il a effectué des recherches sur les termes "puis-je traverser la frontière avec la crypto", "comment empêcher le gouvernement fédéral de saisir les actifs" et "acheter la citoyenneté" ; et il a visité un site Web intitulé "16 pays où vos investissements peuvent acheter la citoyenneté...". . ."

Le 14 décembre 2023, Ahmed a plaidé coupable dans le cadre des deux piratages et a accepté de confisquer plus de 12,3 millions de dollars, dont environ 5,6 millions de dollars en crypto-monnaie obtenue frauduleusement.

Cette affaire illustre les efforts sophistiqués et coordonnés des organismes américains d'application de la loi tels que le HSI et l'IRS, en utilisant l'blockchain intelligence, pour perturber et punir la fraude dans l'écosystème des crypto-monnaies. Elle souligne également l'importance de pouvoir tracer et suivre les flux de fonds à travers les blockchains pour arrêter les acteurs illicites qui cherchent à obscurcir les transactions.

‍